Politique de la vie privée

Pourquoi cette politique et à quoi s’applique-t-elle ?

Balencio SA est attachée au respect de la vie privée et accorde une grande importance à la protection des données qu’elle traite ainsi qu’à la législation inhérente à la protection de la vie privée.

Notre politique en matière de protection des données à caractère personnel se fonde sur les dispositions légales applicables en la matière, dont le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après, le « RGPD ») et la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel.

La présente politique répond aux requis des articles 13 et 14 du RGPD et vise à informer de manière concise, transparente et compréhensible, les utilisateurs de la plate-forme Balencio de Balencio SA (https://app.balencio.com) sur les pratiques concernant la protection, la collecte, l’utilisation et le partage des informations personnelles fournies.

Elle s’applique uniquement aux traitements des données susceptibles d’identifier ou de rendre identifiables les utilisateurs de la plate-forme, directement ou indirectement (ci-après « Données Personnelles »).

Balencio SA s’engage à respecter à tout moment les exigences de la Réglementation applicable à la protection des données personnelles et à n’opérer de traitements sur les données personnelles des Utilisateurs que dans les conditions prévues ci-après.

Balencio SA, comme fournisseur SAAS, agit comme responsable de traitement et comme sous-traitant en fonction des activités de traitement des données.

Balencio est « responsable du traitement » quand il collecte des données personnelles des utilisateurs de la plateforme :

• Gestion des utilisateurs de la plateforme (fichier sociodémographique)
• Management opérationnel de la plateforme
• Tous les processus relatifs à la protection et à la sécurité de la plateforme

Balencio SA est « sous-traitant » et ses Clients sont des responsables de traitement pour tous les processus réalisés par les utilisateurs eux-mêmes dans la plateforme (scans, résultats).

Balencio SA en tant que Responsable du Traitement

Qui est le responsable du traitement des données à caractère personnel ?

Balencio SA, dont le siège social est établi :

Rue Emile Francqui, 3

1435 Mont Saint Guibert

BELGIQUE , inscrite à la Banque-Carrefour des Entreprises sous le numéro 0662.639.464, est le responsable du traitement des données à caractère personnel.

Quelles sont les données à caractère personnel que nous traitons ?

Les données à caractère personnel et/ou les catégories de données personnelles que nous sommes susceptibles de traiter sont les suivantes :

• Données nécessaires au pré-enregistrement des utilisateurs et identifiants individuels indirects (adresse électronique, login)
  • (optionnel) Caractéristiques personnelles (sexe, âge, nationalité, niveau d’études)
  • (optionnel) Informations sur la carrière (ancienneté, fonction, département, statut du contrat)
• Identifiants individuels numériques (adresse IP, cookies)
• Données de connexion, statistiques et traces informatiques (date/heure de connexion, activités, …)

A quelles fins traitons-nous vos données à caractère personnel et sur quelle base légale ?

Les données à caractère personnel vous concernant sont recueillies et traitées dans le cadre des finalités suivantes :

• Lorsque nous recueillons des données personnelles auprès des utilisateurs de la plate-forme
  • Gestion de l’ouverture et de l’utilisation du compte de l’utilisateur sur la plate-forme (fichier sociodémographique)
• Pour exploiter la plate-forme
  • Gestion opérationnelle de la plate-forme
  • Suivi et analyse du trafic de la plate-forme et du site
• Pour protéger la plate-forme
  • Tous les traitements liés à la protection et à la sécurité de la plate-forme elle-même

Ces données sont traitées conformément à la présente déclaration et conformément aux dispositions du règlement européen sur la protection des données.

Elles ne seront traitées que par le personnel de Balencio SA et à ses sous-traitants, aux seules fins décrites ci-dessus et afin d’améliorer le service et de fournir des benchmarks industriels. Les données agrégées permettent à Balencio SA de calculer des benchmarks industriels. Balencio agrège les données de telle sorte que, conformément aux lois et règlements applicables, y compris (sans limitation) le RGPD et la loi belge sur la protection des données, les données traitées deviennent anonymisées.

En toute circonstance, Balencio SA s’engage à ne collecter et traiter vos données personnelles recueillies sur sa plate-forme que dans la mesure où cela est strictement nécessaire pour l’accomplissement d’une des finalités énoncées dans la présente politique. En principe, vos données personnelles ne seront jamais utilisées dans un autre cadre que celui annoncé.

Lors de la collecte de vos Données Personnelles, vous serez informés du fait que certaines Données Personnelles doivent ou non être renseignées afin de parvenir au résultat attendu. A défaut de renseigner les informations dites obligatoires, l’exécution de la demande pourra s’avérer impossible.

Le tableau suivant résume chacun des traitements effectués, ainsi que les bases juridiques du traitement :

Finalités	Fondement juridique	Source de données
Gestion de l’ouverture et de l’utilisation du compte de l’utilisateur sur la plate-forme (fichier sociodémographique)	Exécution d’un contrat auquel la personne concernée est partie	* Votre employeur *L’utilisateur de la plate-forme
Pour exploiter la plate-forme	Exécution d’un contrat auquel la personne concernée est partie Poursuite de notre intérêt légitime de vous offrir une expérience de navigation de qualité et une plate-forme fonctionnelle et disponible	* L’utilisateur de la plate-forme * Sous-traitants informatiques
Pour protéger la plate-forme	Poursuite de notre intérêt légitime à assurer la sécurité informatique du site et de vos données personnelles Respect de nos obligations légales de sécurité (Art 32 RGPD) Constatation, l’exercice ou la défense d’un droit en justice Exécution d’un contrat auquel la personne concernée est partie	* L’utilisateur de la plate-forme * Sous-traitants informatiques

Aucun traitement ne prévoit de prise de décision automatisée.

Qui sont les destinataires des données collectées ?

Ces traitements de données à caractère personnel se réalisent tout en respectant un principe strict de confidentialité auquel ces personnes sont tenues de manière contractuelle. Balencio SA est à cet égard totalement indépendant de l’employeur et garantit la confidentialité des informations collectées envers l’employeur et toute autre tierce partie. Les données personnelles sont utilisées pour fournir un rapport individuel confidentiel et pseudonymisé. Ce rapport n’est jamais et en aucun cas partagé avec l’employeur ou toute autre tierce partie.

L’employeur n’a accès qu’à des rapports consolidés où la ‘règle des 10’ est appliquée (un minimum de 10 observations ou individus est requis pour que Balencio SA puisse présenter des résultats consolidés, de façon à éviter la possibilité d’identification des personnes dont les données font partie du rapport).

Dans le cadre des traitements de données précités, Balencio SA peut être amené à communiquer vos données aux personnes ou organismes suivants :

En interne chez Balencio SA :

• Personnel de direction
• Personnel en charge des opérations et du support de la plate-forme
• Potentiellement à tout service interne sur base du besoin d’en connaître

Vers d’autres organisations :

• Sous-traitants intervenants dans les différents processus opérationnels de la plate-forme, la sécurité de la plateforme et les réponses aux attaques

• Toute autorité publique légalement habilité à recevoir les données en cas d’attaque informatique ou de tentative d’attaque, toute juridiction, ou tout service gouvernemental et de police en charge des enquêtes, les avocats, et huissiers mandatés par Balencio SA, et tout personnel judiciaire intervenant pour la poursuite des infractions et leur indemnisation

Balencio SA travaille en étroite collaboration avec des société tierces qui réalisent des prestations informatiques nécessaires au bon fonctionnement du site internet (hébergement, stockage, maintenance, invitations à l’inscription, etc.).

Le Client reconnait et accepte expressément que Balencio SA puisse recourir à la sous-traitance de la réalisation de tout ou partie des activités de traitement de Données Client. Balencio SA s’engage à informer le Client de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant et à lui donner la possibilité d’émettre des objections à l’encontre de ce changement.

L’utilisateur accepte que cette information se fasse en accord avec la présente politique à la clause intitulée « Liste des sous-traitants » qu’il lui appartient de consulter régulièrement. Lorsqu’un sous-traitant recrute un autre sous-traitant, le sous-traitant s’engage à s’assurer que les mêmes obligations soient imposées à ce sous-traitant que celles fixées dans la présente politique, relativement à la protection des données personnelles et afin que ce sous-sous-traitant réponde aux exigences du règlement susvisé.

Balencio SA s’assure que ces sous-traitants agissent uniquement sur base d’instructions documentées et mettent en œuvre des mesures techniques et organisationnelles appropriées, de manière que les traitements de Données Personnelles qu’ils réalisent répondent aux exigences du RGPD et garantissent la protection des droits des personnes concernées. Balencio SA demeure responsable envers le Client de l’exécution de ses obligations par ses propres sous-traitants.

Aucune donnée à caractère personnel n’est transmise à des tiers ne faisant pas partie des destinataires précités ou ne relevant pas du cadre juridique indiqué, sans préjudice de leur éventuelle transmission aux organes chargés d’une mission de contrôle ou d’inspection en application du droit belge, tel qu’un juge d’instruction. En tout état de cause, Balencio SA ne divulguera pas de données à caractère personnel à des tiers à des fins de marketing direct.

Liste des sous-traitants

Sous-traitant	Traitement	Localisation de données
Amazon Web Services (AWS)	Hébergement des applications, bases de données, données et fichiers qui permettent à Balencio de fonctionner, y compris le contrôle d’accès (via Cognito)	Frankfurt (DE)
Cloudar	Surveillance et administration de notre infrastructure hébergée par AWS	Belgique
InfoManiak	Hébergement et exploitation de notre Digital Vault (système de gestion des secrets et du chiffrement)	Suisse
Mailjet	Envoi massif de courriels individuels d’invitation à participer aux scans	Frankfurt (DE), Saint Ghislain (BE)
MongoDB	Hébergement et exploitation des bases de données qui permettent à Balencio de fonctionner	Frankfurt (DE)
Brevo	Envoi massif de courriels individuels d’invitation à participer aux scans	Paris (FR)

Combien de temps vos données sont-elles conservées?

En sus de ses obligations légales de conservation, Balencio SA utilise la finalité comme un des critères pour définir la période pendant laquelle les données doivent être conservées. En fonction du traitement concerné, vos données ne sont conservées que pendant la durée nécessaire au traitement et supprimées par la suite, sauf si une enquête est en cours. Les données seront alors conservées pendant le temps nécessaire à la conclusion de l’enquête.

Les données personnelles collectées lors de l’utilisation de la plateforme, à quelque titre que ce soit, sont conservées tant que l’Utilisateur utilise la Plateforme.

Concernant les données techniques de connexion, statistiques et traces informatiques relatives à la plate-forme, les données à caractère personnel seront strictement conservées pour toute la durée nécessaire aux finalités précédemment exposées et conformément aux prescriptions légales réglementaires.

Vos Données Personnelles sont-elles transférées en dehors de l’Union européenne ?

Nous ne transmettons pas vos Données Personnelles en dehors de l’Union européenne. En effet, nous faisons appel à des prestataires qui nous garantissent un hébergement européen.

Quels sont les moyens mis en œuvre pour protéger vos données ?

Balencio SA a mis en place un certain nombre de procédures de sécurité adaptées sur le plan technique et organisationnel, qu’elle réévalue et actualise régulièrement, afin d’éviter la destruction, la perte, la falsification, la modification, l’accès non autorisé, la communication accidentelle à des tiers, ainsi que d’en assurer la sécurité et de garantir l’utilisation correcte des informations recueillies en vue de réaliser le traitement concerné. Balencio SA met en œuvre une variété de mesures de sécurité pour préserver la sécurité de vos informations personnelles, dont notamment (liste non-exhaustive) :

• Authentification des utilisateurs;
• Sécurisation des postes de travail;
• Protection du réseau informatique interne;
• Sécurisation des serveurs;
• Sécurisation des sites web;
• Protection des locaux;
• Encadrement des développements informatiques
• Sensibilisation des utilisateurs
• Gestion des habilitations
• Traçage des accès et gestion des incidents
• Sauvegardes et continuité d’activité
• Sécurisation des échanges avec d’autres organismes
• Chiffrement
• Séparation des fonctions de traitement de données de la plate-forme et de celles supportant le contrôle d’accès
  • Amazon Cognito permet l’inscription des utilisateurs, l’enregistrement et le contrôle d’accès.
  • Le système de contrôle d’accès (Cognito) est découplé des bases de données supportant la plate-forme Balencio.
• Hébergement sécurisé Multi-certifié – ISO27001, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 et ISO 9001
• Chiffrement des données en transit et sur le bloc serveur
• Surveillance 24 heures sur 24, 7 jours sur 7 et 365 jours par an par l’intermédiaire d’un prestataire de services d’externalisation
• Gestion des vulnérabilités et mises à jour régulières
• Examen externe régulier et indépendant de la sécurité de l’information (test de pénétration)
• Balencio pseudonymise toutes les sessions individuelles des utilisateurs. Le principe de la pseudonymisation systématique, quand et où cela est possible, constitue un axiome central de la manière dont Balencio traite les sujets relatifs à la protection des données.
• Règle de « 10 » pour la divulgation des résultats consolidés. Les résultats individuels sont protégés et non divulgués.

En cas de recours à un prestataire, Balencio SA s’assure que ce dernier respecte ses obligations en matière de sécurité préalablement à la communication de vos Données Personnelles.

Balencio SA a également désigné un Délégué à la Protection des Données, afin de contrôler et valider la conformité aux réglementations applicables à la protection des données à caractère personnel. Vous pouvez contacter ce Délégué via l’adresse email dataprotection@balencio.com .

Quels sont vos droits ?

• Droit d’information

Vous avez le droit d’être informé de manière concise, transparente, intelligible et facilement accessible sur la manière dont vos Données Personnelles sont traitées.

• Droit d’accès

Le droit d’accès est le droit que vous avez d’obtenir, sur demande :

• la confirmation que des Données Personnelles vous concernant sont traitées
  • le cas échéant, d’accéder à ces Données Personnelles et d’en obtenir une copie

• Droit de rectification 

Il s’agit du droit que vous avez de demander la rectification, dans les meilleurs délais, des données à caractère personnel qui seraient inexactes. Si vous constatez que des données à caractère personnel sont incomplètes, vous avez également le droit de demander à ce qu’elles soient complétées. En cas d’exercice de ce droit, nous nous engageons à communiquer toute rectification à l’ensemble des destinataires de vos Données Personnelles.

• Droit à l’effacement

Dans certains cas, vous avez le droit de demander l’effacement de vos données à caractère personnel. Cependant, il ne s’agit pas d’un droit absolu et nous pouvons, pour des raisons légales ou légitimes, conserver vos Données Personnelles pour une durée conforme à la Règlementation.

• Droit à la limitation du traitement

Dans certains cas, vous avez le droit d’obtenir du responsable du traitement la limitation du traitement de vos données à caractère personnel, conformément à la législation applicable en matière de protection des données.

• Droit à la portabilité des données 

Pour autant que de besoin, vous avez également le droit de recevoir vos données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, dans les conditions prévues par la législation applicable en matière de protection des données. Ce droit n’existe que si la base de légitimation du traitement est fondée le consentement, l’exécution d’un contrat et que ce traitement est réalisé par des moyens automatisés.

• Droit d’opposition

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données à caractère personnel si le traitement est fondé sur une mission d’intérêt public ou relevant de l’exercice de l’autorité public, ou l’intérêt légitime. Dans ce cas, Balencio SA doit cesser le traitement des données à caractère personnel, à moins que nous ne démontrions qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts et vos droits et libertés, ou pour la constatation, l’exercice ou la défense de droits en justice.

• Droit de retirer votre consentement à tout moment

Vous pouvez retirer votre consentement au traitement de vos Données Personnelles lorsque ce traitement est fondé sur votre consentement. Le retrait du consentement ne compromet pas la licéité des traitements réalisés avant ledit retrait.

Tous les droits concernant le traitement des données sur la plate-forme Balencio (résultats de scan, rapports, …) peuvent être exercés via l’employeur et seront soumis à l’accord de ce dernier.

Tous les droits concernant les traitements de données pour lesquels Balencio est considéré comme responsable du traitement peuvent être exercés à tout moment par courrier électronique à l’adresse suivante : support@balencio.com ou dataprotection@balencio.com. Les utilisateurs qui exercent le droit d’effacement et le droit d’opposition doivent comprendre que cela peut entraîner une interruption du service, car le traitement des données est nécessaire pour gérer leur compte et la plate-forme, pour communiquer avec eux, conformément au contrat liant l’employeur et Balencio SA.

Comment faire valoir vos droits ? A qui adresser vos questions/plaintes ?

Vous pouvez envoyer vos demandes d’exercice de droits :

• par courrier électronique à l’adresse support@balencio.com ou dataprotection@balencio.com.

ou

• par courrier ordinaire à l’adresse suivante :

Balencio SA

Rue Emile Francqui, 3

1435 Mont Saint Guibert

Belgique

Pour garantir le respect de votre vie privée et assurer votre sécurité, nous prendrons les mesures nécessaires pour vérifier votre identité avant de vous permettre de consulter, et éventuellement de corriger, des données.

Si vous pensez que nous manquons à l’une de nos obligations légales et/ou contractuelles, nous vous invitons à nous contacter aux mêmes adresses, ou directement notre DPO dataprotection@balencio.com.

Nous mettrons tout en œuvre pour vous assurer un suivi dans les meilleurs délais.

Au cas où notre réponse ne vous donnerait pas satisfaction, vous avez le droit d’introduire une réclamation auprès de l’Autorité de Protection des Données (APD).

Autorité de Protection des Données
Rue de la Presse 35

1000 Bruxelles

Tél.: +32 (0)2 274 48 00
Fax: +32 (0)2 274 48 35
E-mail: contact@apd-gba.be

URL: https://www.autoriteprotectiondonnees.be

Balencio SA en tant que Sous-Traitant

Les services électroniques de gestion de capital humain, tels que l’organisation des scans, le reporting individuel et agrégé, et le stockage des données associées sont fournis par Balencio SA en qualité de sous-traitant, le Client de Balencio SA étant responsable de traitement dans le cadre de l’organisation de tels scans afin d’améliorer la gestion de son capital humain.

Dans le cadre de ces activités, Balencio SA peut être amenée à accéder aux données personnelles d’individus (ci-après les « Données Client ») et à procéder ainsi à un traitement de ces données personnelles aux fins précitées.

En tant que responsable de traitement, le Client, s’engage à se conformer strictement à la réglementation applicable à la protection des données personnelles lorsqu’il traite les Données Client et garantit Balencio SA contre tout recours de tiers au titre de la protection de leurs données personnelles.

En tant que sous-traitant, Balencio SA s’engage à respecter les obligations suivantes et à les faire respecter par son personnel :

• Traiter les Données Client dans le cadre strict et nécessaire des services fournis au titre du contrat la liant au Client, et à n’agir que sur la base des instructions documentées de celui-ci ;
• Assurer la confidentialité des Données Client et veiller à ce que chaque personne qu’elle autorise à traiter lesdites Données Client s’engage à respecter la confidentialité ou soit soumise à une obligation appropriée de confidentialité
• Assurer la sécurité et l’intégrité des Données Client dans les mêmes conditions que celles prévues précédemment dans cette politique
• Ne pas conserver les Données Client au-delà de la durée du contrat la liant au Client ou toute autre durée spécifiée par celui-ci
• Ne pas concéder, louer, céder ou autrement communiquer à une autre personne, tout ou partie des Données Client
• Compte tenu de la nature du traitement, dans toute la mesure du possible, apporter son assistance au Client afin de lui permettre de répondre, dans les délais et selon les conditions prévues par la réglementation applicable à la protection des données personnelles, à toute demande d’exercice d’un droit, requête ou plainte d’une personne concernée par le traitement des Données Client ou d’une autorité de protection des données ou tout autre régulateur
• Apporter son assistance au Client dans le cadre de la réalisation d’analyses d’impact relative à la vie privée et/ou dans le cadre de formalités qui seraient à accomplir par le Client relativement aux Données Client. Ce dernier reconnait et accepte que la prestation d’assistance qui serait à accomplir dans ce cadre pourrait faire l’objet d’une proposition de services séparée de la part de Balencio SA
• Mettre à la disposition du Client, sous condition de respect d’un engagement de confidentialité, toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, y compris des inspections, par le Client ou tout auditeur mandaté par lui et contribuer à ces audits. Les audits réalisés dans ce cadre devront respecter les conditions et modalités prévues dans le contrat liant Balencio SA au Client. Ce dernier reconnait et accepte que la prestation d’assistance qui serait à accomplir dans ce cadre pourrait faire l’objet d’une proposition de services séparée de la part de Balencio SA

Notifier dans les meilleurs délais le Client en cas de violation des Données Client dont il aurait connaissance, la notification étant accompagnée de toute documentation utile afin de permettre ce dernier, si nécessaire, de notifier cette violation à l’autorité de contrôle compétent, et l’assister dans la mise en œuvre de toute action permettant de faire face à cette violation de données

Mise à jour et date d’entrée en vigueur

La présente politique est entrée en vigueur le 2 novembre 2023.

Elle peut être modifiée à tout moment, notamment pour tenir compte d’éventuelles modifications législatives, réglementaires ou encore relatives aux activités de traitement réalisées.

Balencio SA se réserve donc le droit, à son entière appréciation, de changer, modifier, ajouter ou supprimer à tout moment des parties de la présente politique.

Nous vous encourageons donc à la consulter régulièrement via https://balencio.com/vie-privee/ .